Falta de capacitación y recursos convierte a las pymes costarricenses en blanco fácil para la ciberdelincuencia

• Especialistas de la Universidad Estatal a Distancia (UNED) advierten que la informalidad financiera y la baja inversión en seguridad digital elevan drásticamente la vulnerabilidad de las pequeñas empresas frente a ataques de phishing y ransomware

Las pequeñas y medianas empresas (pymes) costarricenses se han transformado en uno de los objetivos prioritarios de las redes de ciberdelincuentes. La combinación de un presupuesto tecnológico limitado, la escasez de personal especializado y una cultura de prevención deficiente las posiciona en un escenario de alta vulnerabilidad frente a las amenazas digitales.

Así lo revelaron expertos de la Universidad Estatal a Distancia (UNED), quienes enfatizaron la urgencia de fortalecer la ciberseguridad no como un gasto operativo secundario, sino como una inversión crítica para la continuidad y supervivencia del negocio.

Esta problemática se alinea con los datos del ESET Security Report 2025, el cual recopiló las respuestas de más de 3,000 profesionales de la región. El informe detalla que el 27% de las organizaciones en América Latina sufrió al menos un ciberataque en el último año, y un 22% fue víctima de secuestro de datos (ransomware) en los últimos dos años. A pesar del entorno hostil, menos de la mitad implementa medidas preventivas básicas como el cifrado de datos o la capacitación del personal.

Rolando Rojas Coto, encargado de Infraestructura Tecnológica de la Dirección de

Tecnologías de Información y Comunicaciones (DTIC) de la UNED, desmitificó la idea generalizada de que los ataques se dirigen únicamente a corporaciones multinacionales.

Le puede interesar: Shadow AI: La nueva frontera del riesgo corporativo

"Cuando pensamos en ciberatacantes normalmente imaginamos grandes empresas, pero la realidad es que muchas veces las pequeñas y medianas empresas son objetivos más fáciles y, no porque tengan sistemas débiles, sino porque suelen operar con recursos limitados, poco personal especializado y medidas de seguridad básicas", explicó Rojas.

El experto añadió que, en el contexto de Costa Rica, la digitalización acelerada —representada por la adopción del correo electrónico, servicios en la nube y el teletrabajo— ha expandido los vectores de exposición frente a incidentes cibernéticos. Entre las amenazas más recurrentes destacan el phishing, la alteración de la cadena de suministro, y las fugas de datos provocadas por configuraciones incorrectas o contraseñas débiles.

"Muchas veces el mayor riesgo no es tecnológico, sino humano", acotó.

Por su parte, el director de UNED Impulsa, Luis Emilio Rodríguez Badilla, apuntó que la vulnerabilidad no es solo técnica, sino también estructural. Al nacer bajo condiciones informales, muchos propietarios incurren en graves prácticas de riesgo operativo.

"Es frecuente que los propietarios mezclen las finanzas personales con las del negocio, compartan credenciales de acceso o administren las cuentas desde dispositivos personales", advirtió Rodríguez.

Asimismo, detalló que las necesidades críticas de financiamiento empujan a estas empresas a optar por canales alternativos fuera del sistema bancario tradicional, convirtiéndose en víctimas ideales de la ingeniería social al entregar información confidencial de sus cuentas. Dado que la mayoría inicia con un capital semilla reducido, un ataque exitoso puede representar pérdidas económicas definitivas e irreversibles para la organización.

Escudo digital a bajo costo: Recomendaciones clave

Pese al panorama adverso, la UNED recalca que mitigar los riesgos sustancialmente no demanda inversiones millonarias, sino la incorporación permanente de buenas prácticas organizativas:

• Autenticación multifactor: Activar de forma obligatoria el doble factor de verificación en todas las plataformas corporativas y correos.

• Capacitación continua: Educar periódicamente al personal para identificar el phishing y maniobras de engaño.

• Políticas de respaldo: Mantener copias de seguridad actualizadas y testear con frecuencia su correcta restauración.

• Actualización técnica: Renovar constantemente sistemas operativos, software de gestión y terminales informáticas.

• Higiene de contraseñas: Emplear claves robustas y prohibir su reutilización o el uso compartido de accesos corporativos.

"La ciberseguridad no es un producto que se compra una vez; es una práctica continua que debe formar parte de la gestión diaria de cualquier organización", concluyó Rojas Coto.